TeamTNT (ботнет)

2020: Появление криптовалютного ботнета, атакующего AWS

В августе 2020 года специалисты по кибербезопасности из компании Cado Security обнаружили первый в своем роде криптовалютный ботнет, возможности которого позволяют воровать конфиденциальные данные с инфицированных серверов AWS.

Неизвестный ранее исследователям функционал был обнаружен во вредоносном программном обеспечении, который используют хакеры группировки TeamTNT, специализирующиеся на атаках установок Docker. Британские ИБ-специалисты обнаружили, что участники TeamTNT добавили в список мишеней установки Kubernetes и внедрили поддержку функционала, который позволяет получить доступ к конфиденциальным данным AWS.

Появился первый ботнет, крадущий учётные данные облака Amazon

ИБ-эксперты объясняют, что, если инфицированные установки Docker или Kubernetes запустить в инфраструктуре AWS, то участники TeamTNT получат возможность провести сканирование системы на предмет ~/.aws/credentials и ~/.aws/config , что в результате и откроет доступ к учетным данным, а также данным о конфигурации аккаунтов и инфраструктуре AWS. В конце концов, хакеры смогут сделать копии файлов и загрузить данные на собственный управляющий сервер.

Эксперты утверждают, что на момент публикации их исследования (17 августа 2020 год) похищенные хакерами данные никак не были использованы. Специалисты смогли отследить всего несколько криптовалютных кошельков Monero, с помощью которого хакеры получают средства, добытые путем криптоджекинга. Судя по их содержимому, группировке удалось заработать всего лишь приблизительно $300, хотя сумма может быть значительно больше, так как криптовалютные ботнеты, как правило, используют большое количество криптовалютных кошельков, что позволяет усложнить отслеживание перемещения средств. Более того, доход TeamTNT может значительно увеличится, если злоумышленники примут решение продать данные в даркнете или использовать ресурсы AWS для криптоджекинга на полную мощность.^[1]

Смотрите также

Примечания